在过去十年中，IT所带来的风险在大多数公司中已经出现了显著的变化。现今，IT问题所带来的潜在风险，已经远远超出IT投资本身，这种情况几乎普遍存在。比如，很多公司花费数百万美元部署了ERP系统，一旦这个系统停止工作一周，其带来的损失，可能要超过系统部署成本的十倍以上。
近来，就发生了与IT问题有关的两个案例：礼来公司(Eli Lilly)意外泄露了600多名Prozac(一种抗抑郁症药物)使用者的姓名和地址，其带来的直接后果是，美国联邦贸易委员会(Federal Trade Commission)颁布了一项为期20年的法令，法令规定，将对公司的IT安全每年进行审核。另一个案例是，电子游戏厂商瓦尔伏公司(Valve)由于一个简单的安全漏洞而丢失了一种新游戏的源代码。结果，这个游戏不得不推迟六个月上市，公司花费数月进行研发所带来的竞争优势也因此而丧失殆尽。
当你意识到，公司丢失一小部分内部机密数据可能会带来多大的损失，你就能对几乎所有公司都面对的风险有一个总体认识。这也意味着，CIO们比过去的责任更大了。企业期望由CIO们来应对这些风险。CIO别无选择。对新型CIO而言，风险管理已经成为他们工作中不可或缺的一部分。(见边栏《新型CIO》)。顾能公司(Gartner)日前对上百名CIO进行了年度调查，CIO们在调查中提出了四种他们关注的风险：
● 企业联系：公司与供应商、合作伙伴、消费者之间的联系愈发紧密，这不仅使企业对他们的依赖度越来越高，而且也带来了企业信息被窃取或滥用的可能。如果企业的这些关系管理不善，就会带来新的风险。这种风险，传统的IT观念并没有考虑到。
● 符合法规要求：由于管理不善及随之而生的犯罪行为，使得许多公司最终经营失败。政府因此出台了多项法规，希望减少滥用管理权力的现象，并对滥用管理权力者进行惩罚。但这样做的同时，这也为公司处理和保护信息带来了法律风险。
● 消费者要求保护隐私：消费者关心隐私，主要是因为窃取身份信息和个人信息的行为不断增加，同时，也和政府出台的多项反恐计划有关。缺乏隐私保护，对公司而言，是一种新的消费者风险；同时，不能遵守刚出台的隐私法，也使公司面临新的法律风险。
● IT问题带来的损失不断上升：IT问题不仅会影响到公司的客户、客户的客户以及供应商，而且也有可能给企业的商誉带来巨大损害，并使公司面临民事和刑事的双重惩罚。
整体考虑
在IT风险管理上，CIO们面临的一个共同问题是，IT风险带来的威胁、IT风险的影响面、IT风险的范围，都要大大超过以往。因此，很多企业并没有很好理解，应该如何去化解这些新的风险和消除这些风险的影响—要么是企业的CIO不熟悉如何管理业务风险，要么是企业的管理者对IT问题所带来的风险不重视。
我们的研究显示，CIO们把IT风险划分为好几类，比如应用、架构和供应商等，而没有把IT风险和业务风险作为一个整体来考虑。由于这种划分，使得CIO们也搞不清，究竟有多少IT预算用在了风险管理上。在我们的调查中，CIO们估计他们把IT预算的6～7%用在风险管理上。然而，当把这些风险管理支出进行具体分解后，实际的风险管理开支数据可能要翻上一番，达到约15%。对IT风险进行分类管理的办法，在过去可能是有效的，但在IT已经深深融入企业业务流程的今天，就已经不再合适。
不能把IT风险管理与业务风险管理综合起来进行整体考虑，这样将使企业陷入愈发危险的境地。因为对这两种风险的管理相互交叉，其结果会影响到整个公司。在安全或者技术上出现的问题，很容易就会从IT问题演变为整个公司的问题，进而影响到消费者的忠诚度，企业